Moet ik een externe audit laten doen?

Een certificerende audit is niet verplicht. Wat de IGJ wel verwacht is dat je je systeem periodiek onafhankelijk laat beoordelen, minimaal eens per drie jaar. Dat kan door een interne auditor, een externe specialist of iemand van een andere zorgorganisatie.

Wie mag de beoordeling uitvoeren?

Iemand met kennis van de norm, van het auditen van een managementsysteem en van de zorg, die niet zelf betrokken was bij het opstellen van het beleid. Dat laatste is de kern van onafhankelijkheid: je beoordeelt niet je eigen werk.

Waar kijkt een auditor als eerste naar?

Naar de Verklaring van Toepasselijkheid. Daaruit blijkt in één oogopslag of je hebt nagedacht of een template hebt ingevuld: staat er per maatregel een reden, en klopt die met je situatie? Daarna volgt de steekproef: hij pakt een maatregel die je als ingevoerd hebt aangemerkt en vraagt om het bewijs.

Wat wordt er per hoofdstuk gevraagd?

Hoofdstuk 4 gaat over je toepassingsgebied en de partijen die eisen stellen, 5 over verantwoordelijkheid en beleid, 6 over risico's en doelen, 7 over mensen en documentbeheer, 8 over de uitvoering in de praktijk, 9 over meten, auditeren en de directiebeoordeling, en 10 over incidenten en verbetering.

Hoe bereid ik me voor?

Zorg dat de registers actueel zijn en dat je bij elke maatregel die op ingevoerd staat kunt laten zien waaruit dat blijkt. De meeste afwijkingen ontstaan niet doordat iets ontbreekt, maar doordat het dossier iets beweert wat de praktijk niet laat zien.

Wat gebeurt er met de bevindingen?

Die leg je vast met een eigenaar en een termijn, en je komt er bij de volgende ronde op terug. Een bevinding zonder opvolging is bij de volgende beoordeling een zwaardere bevinding, omdat dan blijkt dat het verbetermechanisme zelf niet werkt.

Terug naar alle gidsen

6 min lezen·Bijgewerkt 2026-08-11

De NEN 7510-audit

Voor de meeste kleine zorgaanbieders gaat het niet om een certificerende audit, maar om de onafhankelijke beoordeling die de IGJ verwacht. Dat scheelt geld, maar de inhoudelijke vragen zijn dezelfde. Deze gids laat zien wie de beoordeling mag doen, hoe vaak het moet en welke vragen er per hoofdstuk van de norm worden gesteld.

In het kort. Geen certificaat verplicht, wel periodiek onafhankelijk laten beoordelen. De IGJ noemt minimaal eens per drie jaar. Dat mag een interne auditor zijn, een externe specialist of iemand van een andere zorgorganisatie, zolang die niet betrokken was bij het opstellen van het beleid.

Wie mag het doen

De eis is niet dat iemand een titel heeft, maar dat hij drie dingen kent: de norm, het auditen van een managementsysteem, en de zorg. Daar komt de kern van onafhankelijkheid bij: wie het beleid heeft geschreven, beoordeelt het niet. In de praktijk lossen kleine aanbieders dat op door met een andere organisatie af te spreken dat ze bij elkaar meekijken, of door één keer per cyclus iemand van buiten in te huren.

Waar per hoofdstuk naar wordt gekeken

4. Organisatie en toepassingsgebied
Is vastgelegd waar de afspraken over gaan, en weet je welke partijen eisen stellen aan de omgang met gegevens: de gemeente, de verwijzer, de inspectie, de cliënt zelf?
5. Leiderschap en beleid
Is er één aanspreekbare eindverantwoordelijke, is het beleid vastgesteld en gedeeld, en is geregeld wie het overneemt bij afwezigheid?
6. Risico's, maatregelen en doelen
Is er dit jaar een risicoanalyse gedaan, is de Verklaring van Toepasselijkheid actueel, en hebben de zwaarste risico's een maatregel met een naam en een datum?
7. Mensen en documentatie
Weten medewerkers, vrijwilligers en stagiairs wat er van hen verwacht wordt, heeft iedereen geheimhouding getekend, en zijn de documenten vastgesteld met een datum?
8. Uitvoering in de praktijk
Hier komt de steekproef. Klopt het register van informatiemiddelen met wat er in gebruik is, zijn accounts van vertrokken medewerkers ingetrokken, staat de extra inlogcode aan waar dat is afgesproken, en is er ooit een herstel uit de back-up getest?
9. Evaluatie
Wordt er gemeten of de maatregelen werken, is deze beoordeling onafhankelijk genoeg uitgevoerd, en is informatiebeveiliging aan de orde geweest in de directiebeoordeling?
10. Incidenten en verbetering
Is het datalekregister bijgehouden, zijn meldingen tijdig gedaan waar dat moest, en zijn de bevindingen uit de vorige ronde opgevolgd?

Waar een auditor als eerste naar kijkt

Naar de Verklaring van Toepasselijkheid. Daaruit blijkt in één oogopslag of er is nagedacht of dat er een template is ingevuld: staat er per maatregel een reden, en past die reden bij jouw organisatie? Daarna volgt de steekproef. Hij pakt een maatregel die op ingevoerd staat en vraagt waaruit dat blijkt. Kun je dat niet laten zien, dan is de bevinding niet dat de maatregel ontbreekt, maar dat je dossier iets beweert wat de praktijk niet waarmaakt. Dat weegt zwaarder.

Wat je met bevindingen doet. Vastleggen met een eigenaar en een termijn, en er bij de volgende ronde op terugkomen. Een bevinding zonder opvolging is de volgende keer een zwaardere bevinding, want dan blijkt dat het verbetermechanisme zelf niet werkt.

Verschil met je ISO 9001-audit

De opzet is dezelfde en je kunt beide beoordelingen in dezelfde week doen, maar het zijn twee rondes met een eigen scope. Hoe de interne audit voor kwaliteit werkt staat in de gids over de interne audit ISO 9001. Wat de norm verder van je vraagt staat in de checklist.

De vragenlijst staat al klaar

In ISO Assist start je een interne audit informatiebeveiliging met de vragen per hoofdstuk al ingevuld, inclusief de verwijzing naar waar het bewijs in je eigen dossier staat. De bevindingen komen met eigenaar en termijn in je verbeterregister. In de demo kun je het bekijken zonder account.

Bekijk het in de demo Doe de zelfscan